如何使用Certbot独立模式检索我们在Debian 10上加密SSL证书

Let's Encrypt是一项通过自动API提供免费SSL证书的服务。在本教程中,我们将讨论Certbot的_standalone_模式以及如何在Debian 10上使用它来保护其他类型的服务,例如邮件服务器或RabbitMQ等消息代理。

介绍

我们的加密是一种通过自动API提供免费SSL证书的服务。 最受欢迎的Let's Encrypt客户端是EFFCertbot客户端。

Certbot提供了多种方法来验证您的域,获取证书以及自动配置ApacheNginx 在本教程中,我们将讨论Certbot的独立模式以及如何使用它来保护其他类型的服务,例如邮件服务器或RabbitMQ之类的消息代理。

我们不会讨论SSL配置的细节,但是当您完成后,您将拥有一个自动续订的有效证书。 此外,您还可以自动重新加载服务以获取续订的证书。

先决条件

在开始本教程之前,您需要:

  • Debian 10服务器,具有sudo权限的非root用户和基本防火墙,详见Debian 10服务器设置教程
  • 域名指向您的服务器,您可以通过遵循有关在DigitalOcean上创建DNS记录的此文档来完成该域名。
  • 服务器上必须未使用端口80 443 如果您尝试保护的服务位于具有占用这两个端口的Web服务器的计算机上,则您需要使用其他模式,例如Certbot的webroot模式或基于DNS的质询模式。

第1步 - 安装Certbot

Debian 10在其默认存储库中包含Certbot客户端,它应该是最新的,以便基本使用。 如果您需要执行基于DNS的挑战或使用其他较新的Certbot功能,则应根据官方Certbot文档的指示从buster-backports repo进行安装。

更新您的包裹清单:

sudo apt update

使用apt安装certbot包:

sudo apt install certbot

您可以通过要求certbot输出其版本号来测试您的安装:

certbot --version
certbot 0.31.0

现在我们安装了Certbot,让我们运行它来获取我们的证书。

第2步 - 运行Certbot

Certbot需要回答Let's Encrypt API发布的加密质询,以证明我们控制了我们的域名。 它使用端口80 (HTTP)或443 (HTTPS)来完成此任务。 打开防火墙中的相应端口:

sudo ufw allow 80

如果那是您正在使用的端口,请替换上面的443 ufw将输出您的规则已添加的确认:

Rule added
Rule added (v6)

我们现在可以运行Certbot来获取我们的证书。 我们将使用--standalone选项告诉Certbot使用自己的内置Web服务器来处理挑战。 --preferred-challenges选项指示Certbot使用端口80或端口443 如果您使用的是端口80 ,则将使用--preferred-challenges http选项。 对于端口443 ,请使用--preferred-challenges tls-sni 最后,我们将使用-d标志来指定我们为其申请证书的域。 您可以添加多个-d选项以涵盖一个证书中的多个域。

我们将使用--preferred-challenges http选项来演示,但您应该使用对您的用例有意义的选项。 使用您的首选选项运行以下命令以获取证书:

sudo certbot certonly --standalone --preferred-challenges http -d your_domain

运行该命令时,系统将提示您输入电子邮件地址并同意服务条款。 执行此操作后,您应该看到一条消息,告诉您进程是否成功以及您的证书存储位置:

IMPORTANT NOTES:
 - Congratulations! Your certificate and chain have been saved at:
   /etc/letsencrypt/live/your_domain/fullchain.pem
   Your key file has been saved at:
   /etc/letsencrypt/live/your_domain/privkey.pem
   Your cert will expire on 2019-08-28. To obtain a new or tweaked
   version of this certificate in the future, simply run certbot
   again. To non-interactively renew *all* of your certificates, run
   "certbot renew"
 - Your account credentials have been saved in your Certbot
   configuration directory at /etc/letsencrypt. You should make a
   secure backup of this folder now. This configuration directory will
   also contain certificates and private keys obtained by Certbot so
   making regular backups of this folder is ideal.
 - If you like Certbot, please consider supporting our work by:

   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
   Donating to EFF:                    https://eff.org/donate-le

我们有证书。 我们来看看我们下载的内容以及如何在我们的软件中使用这些文件。

第3步 - 配置您的应用程序

配置SSL应用程序超出了本文的范围,因为每个应用程序都有不同的要求和配置选项,但让我们来看看Certbot为我们下载的内容。 使用ls列出包含密钥和证书的目录:

sudo ls /etc/letsencrypt/live/your_domain

您将看到以下输出:

cert.pem  chain.pem  fullchain.pem  privkey.pem  README

此目录中的README文件包含有关每个文件的更多信息。 大多数情况下,您只需要其中两个文件:

  • privkey.pem :这是证书的私钥。 这需要保持安全和保密,这就是大多数/etc/letsencrypt目录具有非常严格的权限并且只有root用户可访问的原因。 大多数软件配置都将此称为ssl-certificate-keyssl-certificate-key-file
  • fullchain.pem :这是我们的证书,与所有中间证书捆绑在一起。 大多数软件都会将此文件用于实际证书,并在其配置中使用ssl-certificate等名称引用它。

有关存在的其他文件的更多信息,请参阅我的证书哪里? Certbot文档的一部分。

某些软件需要其他格式或位置的证书,或其他用户权限。 最好将所有内容保留在letsencrypt目录中,而不是在那里更改任何权限(无论如何都会在续订时覆盖权限),但有时这不是一个选项。 在这种情况下,您需要编写脚本来移动文件并根据需要更改权限。 只要Certbot更新证书,就需要运行此脚本,我们将在下面讨论。

第4步 - 处理Certbot自动续订

我们的加密证书只有90天有效。 这是为了鼓励用户自动执行证书续订过程。 我们安装的certbot包通过向/etc/cron.d添加续订脚本来为我们解决这个问题。 此脚本每天运行两次,并将续订任何在到期后30天内的证书。

随着我们的证书自动更新,我们仍然需要一种方法来在续订后运行其他任务。 我们需要至少重新启动或重新加载我们的服务器以获取新证书,并且如第3步中所述,我们可能需要以某种方式操作证书文件以使它们与我们正在使用的软件一起工作。 这是Certbot的renew_hook选项的目的。

要添加renew_hook ,我们需要更新Certbot的续订配置文件。 Certbot会记住您首次获取证书的所有详细信息,并在续订时使用相同的选项运行。 我们只需要添加钩子。 使用您喜欢的编辑器打开配置文件:

sudo nano /etc/letsencrypt/renewal/your_domain.conf

将打开一个包含一些配置选项的文本文件。 在最后一行添加钩子。 在这种情况下,我们使用的示例将重新加载rabbitmq服务:

/etc/letsencrypt/renewal/your_domain.conf
renew_hook = systemctl reload rabbitmq

将上面的命令更新为运行所需的任何内容以重新加载服务器或运行自定义文件munging脚本。 在Debian上,您通常会使用systemctl重新加载服务。

保存并关闭该文件,然后运行Certbot干运行以确保语法正常:

sudo certbot renew --dry-run

如果您没有看到任何错误,那么您已经完成了设置。 Certbot将在必要时进行更新,并运行使用新文件获取服务所需的任何命令。

结论

在本教程中,我们安装了Certbot Let的加密客户端,使用独立模式下载了SSL证书,并启用了具有续订挂钩的自动续订。 这应该可以让您在使用Let的加密证书时使用除典型Web服务器之外的服务。

有关更多信息,请参阅Certbot的文档